São quase seis da tarde de uma sexta-feira quando o financeiro recebe uma mensagem no WhatsApp. A foto do perfil é a do diretor da empresa, o nome também. O texto vem direto: "Estou em reunião e não posso falar. Preciso fechar um pagamento hoje, R$ 38 mil, é urgente e confidencial. Me passa que já te envio os dados." O funcionário quer ajudar o chefe e agir rápido. Esse impulso é exatamente o que o golpista está contando.

O que é a fraude do CEO

A fraude do CEO, também chamada de golpe do falso chefe, é um ataque dirigido a empresas. O criminoso se passa por uma figura de autoridade -- diretor, presidente, dono ou um gerente sênior -- e convence um funcionário com acesso a pagamentos a transferir dinheiro para uma conta controlada por ele. Não há invasão de sistema nem vírus. A arma é a engenharia social: explorar a hierarquia, a urgência e o medo de contrariar um superior.

É um golpe B2B, voltado para o ambiente corporativo, e costuma mirar quem trabalha no financeiro, no contas a pagar ou na assistência da diretoria. Quanto maior o acesso da pessoa a transferências, mais valioso é o alvo. Por isso o golpista pesquisa a empresa antes, identifica nomes e cargos em redes como o LinkedIn e monta uma abordagem sob medida.

Como o golpista se faz passar pelo chefe

A montagem é mais simples do que parece. O criminoso cria um número de WhatsApp novo, coloca como foto de perfil uma imagem pública do diretor -- tirada do site da empresa ou das redes sociais -- e usa o primeiro nome dele. Para quem recebe a mensagem, o card de contato já transmite autoridade, mesmo sem ser o número salvo de verdade.

No e-mail, a técnica é parecida e se chama domínio sósia: o golpista registra um endereço quase igual ao oficial, trocando uma letra ou a terminação. Algo como "diretoria@empresa-sa.com" no lugar de "diretoria@empresasa.com.br". De relance, ninguém percebe. O texto imita o jeito de escrever de um executivo: objetivo, com pressa, mencionando uma negociação real ou um fornecedor conhecido para soar verdadeiro.

Os três gatilhos: urgência, sigilo e autoridade

Todo golpe do falso chefe se apoia no mesmo tripé psicológico. Entender esses gatilhos é o que permite reconhecer o ataque mesmo quando a mensagem parece convincente:

  • Urgência. "Tem que ser agora", "o prazo vence em uma hora", "vamos perder o negócio". A pressa impede que você pare para verificar.
  • Sigilo. "Não comente com ninguém", "é confidencial", "estou tratando isso por fora". O segredo serve para você não checar com colegas, que poderiam desmontar o golpe.
  • Autoridade. A ordem vem de cima. Contrariar o chefe é desconfortável, e o golpista usa esse desconforto para que você obedeça sem questionar.

Quando uma solicitação de pagamento combina os três -- correria, segredo e hierarquia -- o sinal de alerta tem que tocar alto, por mais real que o contato pareça. Nenhuma rotina financeira saudável depende de transferências secretas feitas às pressas por mensagem.

Como confirmar pelo canal oficial

A defesa contra a fraude do CEO não é tecnológica, é de processo. A regra de ouro é simples: nenhuma transferência sai sem confirmação por um segundo canal, independente daquele em que o pedido chegou. Veio por WhatsApp? Confirme por uma ligação para o número que você já tinha salvo. Veio por e-mail? Confirme pessoalmente ou por telefone. Nunca use o contato indicado na própria mensagem suspeita, porque ele leva de volta ao golpista.

Ligue para o ramal ou celular real do diretor e pergunte diretamente. Se ele não atende e o pedido é "urgentíssimo", isso por si só é motivo para segurar a operação, não para acelerar. Vale também adotar regras fixas na empresa: limite de valor que exige dupla aprovação, conferência de qualquer mudança de dados bancários de fornecedor e proibição de novos beneficiários sem validação presencial. Esses controles desarmam o golpe mesmo quando alguém é enganado.

O que diz a lei

A fraude do CEO se enquadra como estelionato, previsto no artigo 171 do Código Penal -- obter vantagem ilícita induzindo alguém a erro. Quando a fraude é praticada por meio eletrônico, a pena pode ser maior, conforme as alterações trazidas pela Lei 14.155/2021, que endureceu a punição para golpes cometidos com uso de dispositivos e da internet.

Se a sua empresa foi atingida, registre boletim de ocorrência, acione o banco imediatamente para tentar o bloqueio do valor e reúna provas: prints das mensagens, cabeçalhos dos e-mails e os dados da conta de destino. Denuncie também à SaferNet Brasil, que acompanha fraudes digitais. Esse golpe costuma andar junto com outros, então conhecer o golpe do falso funcionário do banco e o golpe do comprovante de Pix falso ajuda a proteger todo o time.

Perguntas frequentes

A foto e o nome no WhatsApp são do meu chefe. Não é ele mesmo? Não necessariamente. Foto de perfil e nome são públicos e fáceis de copiar. Olhe se o número é o que você já tinha salvo e confirme por outro canal antes de agir.

O e-mail veio do endereço da empresa, parece certinho. Posso confiar? Verifique letra por letra o domínio. Golpistas registram endereços quase idênticos, com uma letra trocada ou outra terminação. Na dúvida, confirme por telefone.

E se for mesmo o chefe e eu atrasar o pagamento por checar? Um chefe de verdade entende e aprova que você confirme antes de transferir valores altos. Confirmar não é desobedecer, é proteger a empresa -- e ninguém é punido por isso.

Só recebo ordens, não decido pagamentos. Estou seguro? Mesmo quem não autoriza pode ser usado para passar adiante a ordem ou validar dados. Todo mundo que lida com o financeiro precisa conhecer o golpe.

A lição que cabe em uma frase: pedido de dinheiro urgente e secreto, por mensagem, nunca se resolve por mensagem. Pare, ligue para o número real do seu chefe e confirme pelo canal oficial. O golpista aposta na sua pressa em agradar -- e perde no instante em que você decide checar antes de transferir.